Recomendações de segurança para teletrabalho

Boas práticas da segurança da informação aplicadas ao regime de teletrabalho na UFC

Na estação de trabalho:

• Não armazene dados pessoais de terceiros em computadores pessoais, utilize o Google Drive associado à sua conta institucional da UFC para isso;
• Configure a VPN adequadamente para acessar a rede da UFC. Consulte a STI para a configuração ou em caso de dúvidas;
• Ative bloqueios de tela com temporizador de inatividade;
• Evite compartilhar o computador de trabalho com outras pessoas. Caso não seja possível, ao compartilhar um computador pessoal crie uma conta de usuário diferente para cada pessoa e adote as precauções indicadas em relação a celulares/smartphones;
• Não instale software pirata, de procedência suspeita ou desconhecida. Instale programas e aplicativos apenas a partir do site do fornecedor oficial ou de outras fontes confiáveis;
• Use apenas sistemas e ferramentas recomendados pela Universidade e, em caso de dúvida, entre em contato com a STI;
• Mantenha o antivírus atualizado e em execução e faça backup frequentemente dos computadores utilizados;
• Mantenha o sistema operacional e seus demais softwares atualizados, não utilize sistemas operacionais em versões obsoletas;
• Os locais de armazenamento de dados pessoais tratados em teletrabalho somente podem estar acessíveis às pessoas com atribuições funcionais relacionadas ao respectivo acesso. Adote a “Política de Mesa Limpa” no seu local de trabalho e garanta que o descarte de material com dados pessoais impossibilite a leitura ou a identificação desses dados após o descarte;
• Ao utilizar dispositivos portáteis (notebooks, tablets, smartphones etc) habilite a localização e limpeza remota. Esses recursos permitem rastrear ou apagar todos os dados em caso de perda ou roubo.

No uso de aplicativos e contas:

• Ative a verificação em duas etapas sempre que possível. Isso também é conhecido como duplo fator de autenticação;
• Não compartilhe suas senhas com outras pessoas;
• Use senhas diferentes em cada cadastro quando possível e evite reutilizá-las; Vazamentos de dados são comuns em sites e aplicativos, e as senhas vazadas são frequentemente vendidas na darkweb;
• Não use senhas fracas que contenham informações pessoais, números sequenciais, sequências de teclas do teclado ou datas. Em vez disso, use senhas fortes que combinem letras minúsculas e maiúsculas, números não sequenciais e caracteres especiais;
• Ative a verificação em duas etapas na sua conta gov.br e tente obter pelo menos o nível prata de segurança. O ideal é obter o nível ouro para garantir a máxima proteção da sua conta. Saiba mais sobre os níveis da conta gov.br — Governo Digital

No atendimento ao público:

É importante tomar precauções para evitar a manipulação psicológica do seu comportamento (engenharia social) com a finalidade de obter informações confidenciais, acesso a áreas restritas ou a recursos, tais como:

• Exploração da confiança: uma pessoa pode se passar por alguém de confiança para obter informações sensíveis;
• Persuasão: o criminoso pode utilizar de argumentos convincentes para conseguir o que quer;
• Intimidação: o agressor pode ameaçar a vítima para conseguir as informações desejadas.

Para se prevenir, é recomendado:

• Estar ciente das principais ameaças e técnicas de engenharia social;
• Não divulgar dados pessoais sem uma finalidade prevista na legislação;
• Em caso de dúvida, não divulgue dados pessoais.

Consulte o fascículo Phishing e Outros Golpes do CERT.br para saber mais informações sobre ataques de engenharia social.

No uso de e-mails:

Ao receber e-mails:

• Não clicar em links de um e-mail suspeito e encaminhe-o para etir@sti.ufc.br;
• Em caso de e-mails suspeitos de remetentes conhecidos, confirme a autoria do e-mail por outras formas de contato;
• Caso não seja o destinatário correto de um e-mail recebido, avise ao remetente e apague o e-mail.

No conteúdo do e-mail:

• Evitar divulgar dados pessoais de terceiros;
• Avisar aos destinatários de e-mails com dados pessoais que, caso recebido equivocadamente, deve ser eliminado imediatamente;
• Utilizar o campo CCO (Com Cópia Oculta) ao enviar e-mails a múltiplos destinatários externos à universidade;
• Não divulgar dados pessoais de contato, via campo “PARA” ou “CC”, a outros destinatários que não possuam uma atribuição funcional relacionada a esses dados;
• Não armazenar senhas em e-mails.

[ATENÇÃO] Caso a sua conta de e-mail seja invadida, as senhas armazenadas em e-mails propiciará acesso às demais contas.

Principais fatores que facilitam invasão de contas de e-mail:

• Senhas fracas;
• Computadores ou smartphones infectados com keyloggers (programas que capturam entradas do teclado);
• Falta de antivírus ou antivírus desatualizado;
• Uso de redes Wi-Fi inseguras ou suspeitas;
• Instalação de softwares piratas ou de origem não-oficial;
• Empréstimo de computadores e smartphones a usuários com menor grau de conscientização.

[DICA] Indicativos de e-mail falso:

• Verifique se o remetente do e-mail é confiável e legítimo;
• Confira se o conteúdo do e-mail faz sentido e é coerente com a realidade;
• Preste atenção a erros de ortografia e gramática no corpo do e-mail;
• Não clique em links suspeitos presentes no e-mail;
• Não forneça informações confidenciais, como senhas ou números de cartão de crédito, em resposta a e-mails inesperados;
• Desconfie de e-mails que pedem urgência para realizar uma ação;
• Fique atento a ameaças de consequências negativas em caso de não realização de uma ação;
• Observe a saudação do e-mail, verificando se é genérica ou se contém informações pessoais que não deveriam ser conhecidas pelo remetente;
• Desconfie de e-mails que contêm anexos inesperados ou que parecem não ter relação com o assunto abordado no corpo do e-mail;
• Confirmar a autoria do e-mail por outras formas de contato em caso de suspeitas;
• Avisar o remetente caso não seja o destinatário correto e apagar o e-mail.

Em reuniões virtuais

Recomendações gerais:

• Utilize as ferramentas recomendadas pela UFC (Google Meet);
• Crie salas de web-conferência com moderador ativo para controle dos participantes;
• Utilize senhas para acesso em salas privadas e crie credenciais com cuidado;
• Atribua funções adequadas para apresentadores e participantes;
• Bloqueie som e chat se não forem necessários;
• Compartilhamento de tela somente para apresentadores.

Boas práticas:

• Seja cuidadoso ao compartilhar links e informações das reuniões;
• Moderador deve estar presente durante toda a duração da reunião;
• Não compartilhe informações pessoais durante a reunião;
• Use sua conta institucional para criar ou participar de reuniões;
• Não compartilhe capturas de tela sem consentimento;
• Assegure-se de que informações sensíveis não sejam mostradas durante compartilhamento de tela;
• Remova a URL da reunião da barra de endereço ao compartilhar captura de tela publicamente.

O que fazer em casos de abuso:

• Utilize os controles de segurança do moderador para desativar som ou remover participante abusivo;
• Registre informações do participante envolvido e preserve evidências;
• Entre em contato com a STI.

Em redes Wi-Fi:

Algumas precauções que devem ser observadas ao configurar redes Wi-Fi:

• Escolher uma senha forte e única, que combine letras maiúsculas e minúsculas, números e símbolos, e que tenha pelo menos 12 caracteres de comprimento;
• Não usar senhas óbvias, como datas de nascimento, nomes próprios, sequências numéricas ou palavras comuns;
• Evitar compartilhar a senha da rede com pessoas não autorizadas.  Altere a senha regularmente;
• Ativar o método de segurança WPA2 (AES) ou WPA3, que são protocolos de criptografia mais seguros do que o antigo WEP;
• Configurar o roteador para ocultar o nome da rede (SSID), o que dificulta a sua identificação por invasores;
• Não deixar o roteador com a configuração padrão de fábrica, que é conhecida pelos invasores e pode ser facilmente explorada.

[ATENÇÃO] Usar redes Wi-Fi públicas pode ser arriscado, pois são redes abertas e não criptografadas, o que significa que qualquer pessoa pode acessar e interceptar o tráfego de rede, incluindo senhas e outras informações confidenciais. Além disso, os pontos de acesso públicos podem ser configurados de maneira maliciosa para roubar informações pessoais.

Algumas precauções que devem ser tomadas ao evitar o uso de redes Wi-Fi públicas incluem:

• Use sua rede móvel em vez de redes Wi-Fi públicas, sempre que possível;
• Evite fazer login em sites e aplicativos que contenham informações confidenciais, como bancos e redes sociais, quando estiver em uma rede Wi-Fi pública;
• Se for inevitável usar uma rede Wi-Fi pública, evite fazer transações financeiras ou enviar informações confidenciais.

Consulte temas específicos da segurança da informação para incrementar sua proteção na internet na página de Boas Práticas em Segurança da Informação.

Dúvidas ou incidentes?

Entre em contato com a Equipe de Tratamento de Incidentes através do e-mail: etir@sti.ufc.br

Superintendência de Tecnologia da Informação [STI/UFC]

Tel: (85) 3366.9999 | Campus do Pici – Bloco 901 – CEP 60440-900 – Fortaleza – CE